Вразливість CVE-2025-31324
Дослідники з безпеки пов'язали пов'язаного з Китаєм хакера Chaya_004 з використанням критичної вразливості SAP NetWeaver, ідентифікованої як CVE-2025-31324. Ця вразливість, що має найвищий бал CVSS 10.0, дозволяє зловмисникам здійснювати віддалене виконання коду (RCE), завантажуючи загрозливі веб-оболонки через вразливу кінцеву точку /developmentserver/metadatauploader.
Ця вразливість вперше привернула увагу наприкінці квітня 2025 року, коли команди інформаційної безпеки виявили, що її активно використовують у реальному житті. Зловмисники використовували її для розгортання веб-оболок та інструментів пост-експлуатації, таких як Brute Ratel C4.
Зміст
Наслідки: галузі промисловості під прицілом
З березня 2025 року цією вразливістю широко зловживають у різних галузях промисловості та географічних регіонах. Вважається, що початкове використання сталося ще 12 березня, а підтверджені успішні вторгнення відбулися між 14 та 31 березня.
До уражених секторів належать:
- Енергетика та комунальні послуги
- Виробництво
- Медіа та розваги
- Нафта і газ
- Фармацевтичні препарати
- Роздрібні та державні організації
Ці широкомасштабні атаки вказують на глобальну кампанію, яка потенційно може вплинути на сотні систем SAP.
Всередині шкідливої інфраструктури
Зловмисник Chaya_004 був на передовій цих кампаній, розміщуючи веб-оборонне покриття під назвою SuperShell за IP-адресою 47.97.42[.]177. Ця інфраструктура також виявила інші підозрілі елементи:
- Порт 3232/HTTP, що обслуговує самопідписаний сертифікат, що імітує Cloudflare
- Кілька китайськомовних інструментів та сервісів, розміщених через китайських хмарних провайдерів
Зловмисні інструменти, пов'язані з групою, включають:
- NPS (сервер мережевих політик) : цей інструмент часто використовується для керування політиками доступу до мережі. Зловмисники можуть використовувати його для маніпулювання мережевим трафіком, що потенційно може призвести до несанкціонованого доступу або порушення зв'язку.
Цей складний інструментарій у поєднанні з використанням китайської інфраструктури переконливо вказує на те, що зловмисник діє з Китаю.
Залишатися попереду: стратегії захисту від постійної експлуатації
Хоча випущено патчі безпеки, шкідлива активність продовжується і після їх випуску, що свідчить про те, що раніше розгорнуті веб-оболочки перепрофілюються та розширюються широким спектром шахраїв, від опортуністів до висококваліфікованих зловмисників. У цьому середовищі загроз, що змінюється, організації повинні впроваджувати комплексні заходи щодо усунення наслідків, які включають оперативне застосування офіційних оновлень SAP, ретельне обмеження доступу до вразливих кінцевих точок та деактивацію необов'язкових служб, таких як Visual Composer.
Крім того, залишається важливим підтримувати підвищену пильність шляхом постійного моніторингу системи та журналів на предмет аномальної поведінки. Ці захисні зусилля є життєво важливими для обмеження потенційної подальшої компрометації та захисту операційної цілісності інфраструктур SAP.
